Installer le service cron
Garantit que le paquet cron est installé afin que les tâches planifiées (mises à jour, rotation des journaux, supervision) puissent s'exécuter.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le service cron permet l'exécution de tâches périodiques, nécessaire à la quasi-totalité des tâches d'administration et des services (mises à jour logicielles, rotation des journaux, etc.). L'accès au service cron doit être restreint aux seuls comptes d'administration.
Ce que vérifie Pavois
Pavois vérifie que le paquet cron est présent via le gestionnaire de paquets (dpkg/rpm). L'absence du démon cron signifie que les tâches planifiées de durcissement, de correctifs et de rotation des journaux ne s'exécutent jamais en silence, ce qui constitue en soi une faille de sécurité.
describe package('cron') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu : dpkg -s cron | grep Status doit afficher install ok installed. Sur la famille RHEL : rpm -q cronie. Confirmez que le démon est actif avec systemctl is-active cron (ou crond), qui doit renvoyer active.
Inspecter et investiguer
L'activité de cron est journalisée dans /var/log/syslog (Debian/Ubuntu) ou /var/log/cron (RHEL) ; suivez-la en direct avec journalctl -u cron ou journalctl -u crond.
Remédiation
Le plan de durcissement de Pavois installe le paquet cron (ressource package, action install) et s'applique avec pavois harden apply. Après l'installation, activez et démarrez le service pour que les tâches s'exécutent réellement.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | cron |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans cron, la maintenance périodique (correctifs, rotation des journaux, sauvegardes, analyses de sécurité) s'arrête en silence, laissant les disques se remplir et les vulnérabilités s'accumuler. L'installation de cron n'a aucun impact négatif ; assurez-vous simplement qu'aucun planificateur tiers (par exemple des timers systemd utilisés exclusivement) n'entre en conflit avec la réintroduction des tâches cron.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 2.4.1.1 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.